ຂໍ້ມູນຊີວະມິຕິພາຍໃຕ້ GDPR: ເມື່ອໃດທີ່ທ່ານສາມາດນໍາໃຊ້ມັນໄດ້ໃນປະເທດເນເທີແລນ?

ຂໍ້ມູນຊີວະມິຕິ, ເຊັ່ນ: ລາຍນິ້ວມື, ຮູບພາບໃບໜ້າ ຫຼື ຮູບແບບສຽງ, ແມ່ນຂໍ້ມູນສ່ວນຕົວປະເພດພິເສດພາຍໃຕ້ GDPR ເມື່ອມັນຖືກປະມວນຜົນເພື່ອລະບຸຕົວຕົນຂອງບຸກຄົນໂດຍສະເພາະ. ໃນປະເທດເນເທີແລນ, ການປະມວນຜົນດັ່ງກ່າວແມ່ນຖືກຫ້າມໂດຍຫຼັກການ; ຂໍ້ຍົກເວັ້ນຕົ້ນຕໍແມ່ນບ່ອນທີ່ມັນຈຳເປັນສຳລັບການກວດສອບຄວາມຖືກຕ້ອງ ຫຼື ຈຸດປະສົງດ້ານຄວາມປອດໄພ, ແລະ ສຳລັບພະນັກງານການທົດສອບນັ້ນບໍ່ຄ່ອຍຈະພົບໂດຍໂມງເວລາ ຫຼື ປະຕູຫ້ອງການ.

ອົງການປົກປ້ອງຂໍ້ມູນຂອງໂຮນລັງ (Autoriteit Persoonsgegevens, AP) ນຳໃຊ້ກົດລະບຽບເຫຼົ່ານີ້ຢ່າງເຂັ້ມງວດ ແລະ ໄດ້ປັບໃໝນາຍຈ້າງ ແລະ ບໍລິສັດເຕັກໂນໂລຢີ ສຳລັບການໃຊ້ຂໍ້ມູນຊີວະມິຕິໂດຍບໍ່ມີພື້ນຖານທີ່ຖືກຕ້ອງ. ຂ້າງລຸ່ມນີ້ພວກເຮົາອະທິບາຍສິ່ງທີ່ນັບເປັນຂໍ້ມູນຊີວະມິຕິ, ມີເຫດຜົນທາງກົດໝາຍໃດແດ່, ເວລາທີ່ທ່ານຕ້ອງການການປະເມີນຜົນກະທົບຂອງການປົກປ້ອງຂໍ້ມູນ, ມາດຕະການປ້ອງກັນໃດແດ່ທີ່ຄາດຫວັງ ແລະ ສິ່ງທີ່ຄວນເຮັດຖ້າມີບາງຢ່າງຜິດພາດເກີດຂຶ້ນ.

ຂໍ້ມູນທາງຊີວະມິຕິພາຍໃຕ້ GDPR ແມ່ນຫຍັງ?

ຂໍ້ມູນຊີວະມິຕິແມ່ນຂໍ້ມູນສ່ວນຕົວທີ່ເປັນຜົນມາຈາກການປະມວນຜົນດ້ານວິຊາການສະເພາະຂອງລັກສະນະທາງກາຍະພາບ, ສະລີລະວິທະຍາ ຫຼື ພຶດຕິກຳຂອງບຸກຄົນ, ເຊິ່ງອະນຸຍາດ ຫຼື ຢືນຢັນການລະບຸຕົວຕົນທີ່ເປັນເອກະລັກຂອງບຸກຄົນນັ້ນ. ຈຸດປະສົງ ແລະ ເຕັກນິກເປັນຕົວກຳນົດ, ບໍ່ແມ່ນປະເພດຂອງຮູບພາບ ຫຼື ການບັນທຶກ.

ຄຳນິຍາມນີ້ຢູ່ໃນມາດຕາ 4(14) ຂອງ ລະບຽບການປົກປ້ອງຂໍ້ມູນທົ່ວໄປ (GDPR) . ຮູບຖ່າຍຂອງພະນັກງານທີ່ຕິດຢູ່ປ້າຍປະຈຳຕົວແມ່ນຂໍ້ມູນສ່ວນຕົວ, ແຕ່ບໍ່ແມ່ນຂໍ້ມູນທາງຊີວະມິຕິໂດຍອັດຕະໂນມັດ. ໃນເວລາທີ່ຮູບຖ່າຍດຽວກັນຖືກປ່ຽນເປັນແມ່ແບບໃບໜ້າ ແລະ ນຳໃຊ້ໂດຍລະບົບການຮັບຮູ້ເພື່ອໃຫ້ສິດໃນການເຂົ້າເຖິງອາຄານ, ມັນຈະກາຍເປັນຂໍ້ມູນທາງຊີວະມິຕິ. ການປ່ຽນແປງນັ້ນປ່ຽນແປງກອບກົດໝາຍຢ່າງສິ້ນເຊີງ.

ຕົວຢ່າງຂອງຕົວລະບຸຕົວຕົນທາງຊີວະມິຕິຄື ລາຍນິ້ວມື, ຮູບຊົງໃບໜ້າ, ຮູບແບບມ່ານຕາ ແລະ ຈໍປະສາດຕາ, ຮູບແບບສຽງ ແລະ ລັກສະນະພຶດຕິກຳ ເຊັ່ນ: ຈັງຫວະການພິມ ຫຼື ວິທີທີ່ບຸກຄົນຍ່າງ. ສິ່ງທີ່ພວກມັນມີຄືກັນແມ່ນວ່າພວກມັນຖືກໃຊ້ເພື່ອຮັບຮູ້ບຸກຄົນໃດໜຶ່ງໂດຍສະເພາະ.

ເປັນຫຍັງ GDPR ຈຶ່ງປະຕິບັດຕໍ່ຂໍ້ມູນທາງຊີວະມິຕິແຕກຕ່າງກັນ?

ພາຍໃຕ້ມາດຕາ 9 GDPR, ຂໍ້ມູນທາງຊີວະມິຕິທີ່ປະມວນຜົນເພື່ອຈຸດປະສົງໃນການລະບຸຕົວຕົນຂອງບຸກຄົນແມ່ນຂຶ້ນກັບໝວດໝູ່ພິເສດຂອງຂໍ້ມູນສ່ວນຕົວ. ໝວດໝູ່ດຽວກັນນີ້ລວມມີຂໍ້ມູນກ່ຽວກັບຕົ້ນກຳເນີດທາງເຊື້ອຊາດ ຫຼື ຊົນເຜົ່າ, ຄວາມຄິດເຫັນທາງການເມືອງ, ຄວາມເຊື່ອທາງສາສະໜາ, ສຸຂະພາບ ແລະ ຊີວິດທາງເພດ.

ເຫດຜົນແມ່ນວ່າຜົນສະທ້ອນຂອງການໃຊ້ໃນທາງທີ່ຜິດແມ່ນຮ້າຍແຮງ ແລະ ມັກຈະບໍ່ສາມາດແກ້ໄຂໄດ້. ລະຫັດຜ່ານສາມາດປ່ຽນແປງໄດ້; ລາຍນິ້ວມື ຫຼື ມ່ານຕາບໍ່ສາມາດປ່ຽນແປງໄດ້. ຖ້າຖານຂໍ້ມູນຂອງແມ່ແບບຊີວະມິຕິຖືກໂຈມຕີ, ຜູ້ທີ່ກ່ຽວຂ້ອງຈະປະເຊີນກັບຄວາມສ່ຽງທີ່ຍືນຍົງຂອງການສໍ້ໂກງຕົວຕົນ.

ວິທີການຂອງໂຮນລັງເຂັ້ມງວດແນວໃດ?

AP ຕີຄວາມກົດລະບຽບເຫຼົ່ານີ້ຢ່າງເຂັ້ມງວດ. ຈຸດເລີ່ມຕົ້ນຂອງມັນແມ່ນວ່າການລະບຸຕົວຕົນທາງຊີວະມິຕິແມ່ນຖືກຫ້າມ, ແລະຂໍ້ຍົກເວັ້ນແມ່ນແຄບ.

ກົດໝາຍວ່າດ້ວຍການຈັດຕັ້ງປະຕິບັດ GDPR ຂອງໂຮນລັງ (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) ໄດ້ເພີ່ມຂໍ້ຍົກເວັ້ນໃນລະດັບຊາດ. ພາຍໃຕ້ມາດຕາ 29 UAVG, ຂໍ້ມູນຊີວະມິຕິອາດຈະຖືກປະມວນຜົນເພື່ອການລະບຸຕົວຕົນທີ່ເປັນເອກະລັກ ຖ້າສິ່ງນີ້ຈຳເປັນສຳລັບຈຸດປະສົງການກວດສອບຄວາມຖືກຕ້ອງ ຫຼື ຄວາມປອດໄພ. “ຈຳເປັນ” ແມ່ນຄຳສຳຄັນ. ມັນໝາຍຄວາມວ່າຈຸດປະສົງດັ່ງກ່າວບໍ່ສາມາດບັນລຸໄດ້ຢ່າງສົມເຫດສົມຜົນດ້ວຍວິທີການທີ່ບໍ່ແຊກແຊງໜ້ອຍກວ່າ ເຊັ່ນ: ປ້າຍ, ລະຫັດ ຫຼື ກະແຈ. AP ໄດ້ລະບຸຢ່າງຊັດເຈນໃນຄຳແນະນຳຂອງຕົນວ່າການຮັບຮູ້ໃບໜ້າໃນສະຖານທີ່ທີ່ສາມາດເຂົ້າເຖິງໄດ້ສາທາລະນະ ເຊັ່ນ: ຮ້ານຄ້າ ໂດຍຫຼັກການແລ້ວແມ່ນບໍ່ໄດ້ຮັບອະນຸຍາດ.

ທ່ານຕ້ອງການພື້ນຖານທາງກົດໝາຍໃດ?

ທ່ານຕ້ອງການສອງຢ່າງຄື: ພື້ນຖານທາງກົດໝາຍພາຍໃຕ້ມາດຕາ 6 GDPR ສຳລັບການປະມວນຜົນດັ່ງກ່າວ, ແລະ ຂໍ້ຍົກເວັ້ນພາຍໃຕ້ມາດຕາ 9(2) GDPR ຫຼື ມາດຕາ 29 UAVG ເພື່ອຍົກເລີກການຫ້າມໝວດໝູ່ພິເສດ. ຖ້າບໍ່ມີທັງສອງຢ່າງ, ການປະມວນຜົນແມ່ນຜິດກົດໝາຍ.

ມາດຕາ 6 GDPR ລະບຸພື້ນຖານທາງກົດໝາຍຫົກຢ່າງຄື: ການຍິນຍອມ, ການປະຕິບັດສັນຍາ, ພັນທະທາງກົດໝາຍ, ຜົນປະໂຫຍດທີ່ສຳຄັນ, ໜ້າທີ່ໃນຜົນປະໂຫຍດສາທາລະນະ ແລະ ຜົນປະໂຫຍດທີ່ຖືກຕ້ອງຕາມກົດໝາຍ. ນັ້ນແມ່ນອຸປະສັກທຳອິດ, ແລະ ມັນໃຊ້ໄດ້ກັບຂໍ້ມູນສ່ວນຕົວທັງໝົດ.

ເນື່ອງຈາກຂໍ້ມູນທາງຊີວະມິຕິເປັນໝວດໝູ່ພິເສດ, ທ່ານຕ້ອງຕອບສະໜອງເງື່ອນໄຂໜຶ່ງຂອງມາດຕາ 9(2) GDPR, ຫຼື ຂໍ້ຍົກເວັ້ນຂອງໂຮນລັງໃນມາດຕາ 29 UAVG. ເຫຼົ່ານີ້ແມ່ນເສັ້ນທາງດຽວທີ່ສາມາດຍົກເລີກການຫ້າມໄດ້. ກ່ອນທີ່ທ່ານຈະເລີ່ມຕົ້ນ, ໃຫ້ກຳນົດວ່າໃຜເປັນຜູ້ຄວບຄຸມ ແລະ ໃຜເຮັດໜ້າທີ່ເປັນຜູ້ປະມວນຜົນ, ຕົວຢ່າງເຊັ່ນ ຜູ້ສະໜອງລະບົບສະແກນ. ບົດຄວາມຂອງພວກເຮົາກ່ຽວກັບ ບົດບາດຂອງຜູ້ຄວບຄຸມ ແລະ ຜູ້ປະມວນຜົນພາຍໃຕ້ GDPR ອະທິບາຍຄວາມແຕກຕ່າງ ແລະ ຂໍ້ຕົກລົງການປະມວນຜົນທີ່ທ່ານຕ້ອງການ.

ການຍິນຍອມຢ່າງຊັດເຈນມີຜົນບັງຄັບໃຊ້ເມື່ອໃດ?

ການຍິນຍອມຢ່າງຊັດເຈນແມ່ນມາດຕະຖານທີ່ສູງກວ່າການຍິນຍອມທຳມະດາ. ມັນຕ້ອງໄດ້ຖືກໃຫ້ໂດຍຖະແຫຼງການທີ່ຊັດເຈນ, ຢືນຢັນ ແລະ ຕ້ອງມີຄວາມຊັດເຈນ, ມີຂໍ້ມູນຄົບຖ້ວນ, ບໍ່ມີຄວາມສັບສົນ ແລະ ໃຫ້ຢ່າງເສລີ.

• ເສພາະ: ການອ້າງອີງທົ່ວໄປກ່ຽວກັບ “ຈຸດປະສົງດ້ານຄວາມປອດໄພ” ແມ່ນບໍ່ພຽງພໍ; ທ່ານຕ້ອງລະບຸຢ່າງຊັດເຈນວ່າເປັນຫຍັງທ່ານຕ້ອງການຂໍ້ມູນທາງຊີວະມິຕິ.
• ແຈ້ງ: ຜູ້ຄົນຕ້ອງຮູ້ວ່າເຈົ້າເກັບກຳຂໍ້ມູນໃດ, ເຈົ້າເຮັດຫຍັງກັບມັນ, ໃຜສາມາດເຂົ້າເຖິງໄດ້ ແລະ ເຈົ້າເກັບຮັກສາມັນໄວ້ດົນປານໃດ.
• ໃຫ້ໂດຍບໍ່ເສຍຄ່າ: ບຸກຄົນດັ່ງກ່າວຕ້ອງສາມາດປະຕິເສດໄດ້ໂດຍບໍ່ມີຜົນສະທ້ອນທາງລົບ, ແລະ ຕ້ອງສາມາດຖອນຄືນການຍິນຍອມໄດ້ທຸກເວລາ.

ໃນສາຍພົວພັນການຈ້າງງານ, ເງື່ອນໄຂສຸດທ້າຍແມ່ນບັນຫາ. ພະນັກງານທີ່ປະຕິເສດອາດຈະຢ້ານກົວຜົນສະທ້ອນ, ແລະດັ່ງນັ້ນ AP ຈຶ່ງມີທັດສະນະວ່າການຍິນຍອມຂອງພະນັກງານບໍ່ຄ່ອຍໄດ້ຮັບຢ່າງເສລີ. ນາຍຈ້າງທີ່ອີງໃສ່ການຍິນຍອມຕ້ອງສາມາດສະແດງໃຫ້ເຫັນວ່າມີທາງເລືອກທີ່ແທ້ຈິງຢູ່ ແລະ ໄດ້ຖືກສະເໜີໃຫ້ໃນທາງປະຕິບັດ, ບໍ່ພຽງແຕ່ຢູ່ໃນເຈ້ຍເທົ່ານັ້ນ.

ມີຂໍ້ຍົກເວັ້ນອື່ນໆອັນໃດແດ່?

ຂໍ້ຍົກເວັ້ນອື່ນໆແມ່ນແຄບ. ຕາຕະລາງຂ້າງລຸ່ມນີ້ປຽບທຽບຂໍ້ທີ່ກ່ຽວຂ້ອງທີ່ສຸດ.

ທ່ານສາມາດໃຊ້ລາຍນິ້ວມື ຫຼື ສະແກນໃບໜ້າສຳລັບພະນັກງານໄດ້ບໍ?

ພຽງແຕ່ຖ້າລະບົບຊີວະມິຕິມີຄວາມຈຳເປັນແທ້ໆສຳລັບການກວດສອບຄວາມຖືກຕ້ອງ ຫຼື ຄວາມປອດໄພ, ແລະ ວິທີການທີ່ແຊກແຊງໜ້ອຍກວ່າຈະບໍ່ເໝາະສົມ. ສຳລັບການລົງທະບຽນເວລາ, ເຄື່ອງເກັບເງິນ ຫຼື ປະຕູຫ້ອງການທຳມະດາ, ໂດຍປົກກະຕິແລ້ວມັນບໍ່ແມ່ນແນວນັ້ນ.

ການທົດສອບພາຍໃຕ້ມາດຕາ 29 UAVG ແມ່ນວ່າຈຸດປະສົງສາມາດບັນລຸໄດ້ຢ່າງສົມເຫດສົມຜົນໂດຍວິທີການທີ່ບໍ່ແຊກແຊງ. ເຄື່ອງສະແກນທີ່ຄວບຄຸມການເຂົ້າເຖິງເຄື່ອງເກັບເງິນ, ລະບົບລົງທະບຽນເວລາ ຫຼື ປະຕູຫ້ອງການປົກກະຕິແລ້ວຈະລົ້ມເຫຼວໃນການທົດສອບນັ້ນ, ເພາະວ່າປ້າຍ, ລະຫັດ ຫຼື ກະແຈບັນລຸຜົນໄດ້ຮັບດຽວກັນໂດຍບໍ່ມີຂໍ້ມູນທາງຊີວະມິຕິ. ບ່ອນທີ່ການເຂົ້າເຖິງທາງຊີວະມິຕິໄດ້ຮັບການຍອມຮັບ, ຜົນປະໂຫຍດດ້ານຄວາມປອດໄພແມ່ນມີຄວາມສຳຄັນ ແລະ ສະເພາະເຈາະຈົງ: ສະຖານທີ່ຈັດການວັດສະດຸອັນຕະລາຍ, ຫ້ອງທົດລອງທີ່ປອດໄພ, ສູນຂໍ້ມູນ ຫຼື ຫ້ອງເກັບມ້ຽນ.

ແຍກຕ່າງຫາກ, ໃນກໍລະນີທີ່ມີສະພາວຽກງານ (ondernemingsraad), ລະບົບທີ່ລົງທະບຽນ ຫຼື ຕິດຕາມກວດກາການເຂົ້າຮ່ວມ, ພຶດຕິກຳ ຫຼື ຜົນງານຂອງພະນັກງານ, ຫຼື ທີ່ປະມວນຜົນຂໍ້ມູນສ່ວນຕົວຂອງເຂົາເຈົ້າ, ຮຽກຮ້ອງໃຫ້ມີການຍິນຍອມເຫັນດີຈາກພະນັກງານພາຍໃຕ້ມາດຕາ 27(1)(k) ແລະ (l) ຂອງກົດໝາຍວ່າດ້ວຍສະພາວຽກງານ (Wet op de ondernemingsraden, WOR). ການປະຕິບັດຕາມ GDPR ບໍ່ໄດ້ລົບລ້າງຂໍ້ກຳນົດດັ່ງກ່າວ, ແລະ ລະບົບທີ່ນຳສະເໜີໂດຍບໍ່ໄດ້ຮັບການຍິນຍອມສາມາດຖືກທ້າທາຍໄດ້.

ທ່ານສາມາດໃຊ້ຂໍ້ມູນຊີວະມິຕິສຳລັບລູກຄ້າໄດ້ບໍ?

ບາງຄັ້ງ, ແຕ່ກົດລະບຽບທີ່ເຂັ້ມງວດຄືກັນນີ້ຈະຖືກນຳໃຊ້. ສຳລັບລູກຄ້າ, ການຍິນຍອມຢ່າງຊັດເຈນສາມາດເປັນພື້ນຖານທີ່ຖືກຕ້ອງ, ໂດຍມີເງື່ອນໄຂວ່າການໃຊ້ຂໍ້ມູນຊີວະມິຕິແມ່ນເປັນທາງເລືອກຢ່າງແທ້ຈິງ ແລະ ມີທາງເລືອກທີ່ທຽບເທົ່າກັນ.

ຕົວຢ່າງທົ່ວໄປແມ່ນການປົດລັອກແອັບທະນາຄານດ້ວຍລາຍນິ້ວມື, ການຢືນຢັນຕົວຕົນດ້ວຍຮູບເຊວຟີເມື່ອເປີດບັນຊີອອນໄລນ໌, ແລະ ການເຂົ້າຫ້ອງອອກກຳລັງກາຍ ຫຼື ງານທີ່ມີການຮັບຮູ້ໃບໜ້າ. ໃນກໍລະນີທີ່ການກວດສອບຊີວະມິຕິເກີດຂຶ້ນທັງໝົດໃນໂທລະສັບຂອງລູກຄ້າເອງ, ໂດຍໃຊ້ເທັກໂນໂລຢີທີ່ຕິດຕັ້ງມາໃນໂທລະສັບ, ໂດຍປົກກະຕິແລ້ວບໍລິສັດຈະບໍ່ໄດ້ຮັບຂໍ້ມູນຊີວະມິຕິເອງ. ສິ່ງດັ່ງກ່າວຊ່ວຍຫຼຸດຜ່ອນຄວາມສ່ຽງ ແລະ ພັນທະຂອງບໍລິສັດໄດ້ຢ່າງຫຼວງຫຼາຍ.

ໃນກໍລະນີທີ່ບໍລິສັດປະມວນຜົນຂໍ້ມູນດ້ວຍຕົນເອງ, ຕົວຢ່າງເຊັ່ນໂດຍການປຽບທຽບຮູບຖ່າຍເຊວຟີກັບຮູບຖ່າຍໜັງສືຜ່ານແດນໃນເຊີບເວີຂອງຕົນເອງ, ບໍລິສັດຕ້ອງການຫຼັກຖານທີ່ຖືກຕ້ອງ. ການຍິນຍອມຮຽກຮ້ອງໃຫ້ລູກຄ້າສາມາດເລືອກເສັ້ນທາງອື່ນ, ເຊັ່ນ: ການຢັ້ງຢືນໂດຍການໂອນເງິນຜ່ານທະນາຄານ ຫຼື ການໄປຢ້ຽມຢາມສາຂາ, ໂດຍບໍ່ມີຂໍ້ເສຍປຽບ. ສຳລັບທະນາຄານ ແລະ ສະຖາບັນການເງິນອື່ນໆ, ພັນທະການກວດສອບຄວາມຖືກຕ້ອງຂອງລູກຄ້າພາຍໃຕ້ກົດໝາຍຕ້ານການຟອກເງິນມີບົດບາດ, ແຕ່ພວກມັນບໍ່ໄດ້ຮຽກຮ້ອງໃຫ້ມີການປະມວນຜົນທາງຊີວະມິຕິໃນຕົວຂອງມັນເອງ.

ຈະເປັນແນວໃດກ່ຽວກັບກ້ອງຖ່າຍຮູບທີ່ມີການຮັບຮູ້ໃບໜ້າ?

ໂດຍຫຼັກການແລ້ວ ກ້ອງຖ່າຍຮູບຮັບຮູ້ໃບໜ້າໃນຮ້ານຄ້າ, ສະໜາມກິລາ ຫຼື ສະຖານທີ່ອື່ນໆທີ່ສາມາດເຂົ້າເຖິງໄດ້ສາທາລະນະ ແມ່ນບໍ່ໄດ້ຮັບອະນຸຍາດສຳລັບງານລ້ຽງສ່ວນຕົວ. ຄົນທີ່ຍ່າງຜ່ານໄປບໍ່ສາມາດໃຫ້ຄວາມຍິນຍອມຢ່າງຊັດເຈນໄດ້, ແລະ ບໍ່ຄ່ອຍຈະມີຄວາມຈຳເປັນທີ່ຕອບສະໜອງການທົດສອບ UAVG ມາດຕາ 29.

ສຳນັກຂ່າວ AP ໄດ້ເຕືອນຮ້ານຄ້າປີກວ່າການໃຊ້ການຮັບຮູ້ໃບໜ້າເພື່ອລະບຸຕົວຄົນລັກຂະໂມຍ ຫຼື ຮັບຮູ້ລູກຄ້າແມ່ນບໍ່ໄດ້ຮັບອະນຸຍາດ. ການເຝົ້າລະວັງດ້ວຍກ້ອງຖ່າຍຮູບທຳມະດາ, ໂດຍບໍ່ມີການລະບຸຕົວຕົນທາງຊີວະມິຕິ, ແມ່ນຂຶ້ນກັບກົດລະບຽບທີ່ແຕກຕ່າງກັນ ແລະ ເຂັ້ມງວດໜ້ອຍກວ່າ, ແຕ່ຍັງຕ້ອງການຄວາມສົນໃຈທີ່ຖືກຕ້ອງຕາມກົດໝາຍ, ແຈ້ງການທີ່ຊັດເຈນ ແລະ ໄລຍະເວລາເກັບຮັກສາທີ່ຈຳກັດ. ການເພີ່ມຊອບແວການຮັບຮູ້ໃບໜ້າໃສ່ລະບົບກ້ອງຖ່າຍຮູບທີ່ມີຢູ່ແລ້ວຈະປ່ຽນແປງການປະເມີນຢ່າງສິ້ນເຊີງ.

ທ່ານຕ້ອງການການປະເມີນຜົນກະທົບຂອງການປົກປ້ອງຂໍ້ມູນເມື່ອໃດ?

ເກືອບທຸກຄັ້ງ. ການປະມວນຜົນຂໍ້ມູນທາງຊີວະມິຕິເພື່ອລະບຸຕົວຕົນຂອງຄົນແມ່ນການປະມວນຜົນທີ່ມີຄວາມສ່ຽງສູງ, ແລະ AP ໄດ້ເອົາມັນໄວ້ໃນບັນຊີລາຍຊື່ຂອງການດຳເນີນງານປະມວນຜົນທີ່ຕ້ອງການການປະເມີນຜົນກະທົບຂອງການປົກປ້ອງຂໍ້ມູນ (DPIA) ພາຍໃຕ້ມາດຕາ 35 GDPR.

DPIA ແມ່ນການປະເມີນຄວາມສ່ຽງດ້ານຄວາມເປັນສ່ວນຕົວທີ່ມີໂຄງສ້າງ. ມັນບັງຄັບໃຫ້ທ່ານອະທິບາຍສິ່ງທີ່ທ່ານວາງແຜນທີ່ຈະເຮັດ, ລະບຸຄວາມສ່ຽງສຳລັບຜູ້ທີ່ກ່ຽວຂ້ອງ ແລະ ຕັດສິນໃຈວ່າຈະຈັດການຄວາມສ່ຽງເຫຼົ່ານັ້ນແນວໃດກ່ອນທີ່ທ່ານຈະສະແກນລາຍນິ້ວມື ຫຼື ໃບໜ້າດຽວ. ຖ້າຄວາມສ່ຽງທີ່ຍັງເຫຼືອສູງ ແລະ ບໍ່ສາມາດຫຼຸດລົງໄດ້ຢ່າງພຽງພໍ, ທ່ານຕ້ອງປຶກສາກັບ AP ກ່ອນທີ່ທ່ານຈະເລີ່ມຕົ້ນ (ມາດຕາ 36 GDPR).

DPIA ສ້າງຂຶ້ນບົນພື້ນຖານທາງກົດໝາຍ: ກ່ອນອື່ນໝົດທ່ານຕ້ອງສ້າງພື້ນຖານພາຍໃຕ້ມາດຕາ 6 ແລະ ຂໍ້ຍົກເວັ້ນພາຍໃຕ້ມາດຕາ 9 ຫຼື ມາດຕາ 29 UAVG, ແລະ ຈາກນັ້ນປະເມີນວ່າລະບົບສະເພາະນັ້ນມີຄວາມຈຳເປັນ ແລະ ສົມສ່ວນກັນຫຼືບໍ່.

DPIA ປະກອບດ້ວຍຫຍັງແດ່?

ຍົກຕົວຢ່າງເຄື່ອງສະແກນລາຍນິ້ວມືສຳລັບການເຂົ້າເຖິງຫ້ອງເຊີບເວີ. DPIA ກວມເອົາສີ່ອົງປະກອບ.

• ລາຍລະອຽດຂອງການປະມວນຜົນ. ທ່ານເກັບກຳຂໍ້ມູນໃດ: ແມ່ແບບ ຫຼື ຮູບພາບເຕັມ? ມັນຖືກເກັບກຳແນວໃດ, ມັນຖືກເກັບໄວ້ຢູ່ໃສ, ມັນຖືກນໍາໃຊ້ແນວໃດ ແລະ ມັນຖືກລຶບເວລາໃດ? ໃຜມີສິດເຂົ້າເຖິງ? ມີຜູ້ສະໜອງທີ່ກ່ຽວຂ້ອງບໍ?
• ຄວາມຈຳເປັນ ແລະ ສັດສ່ວນ. ທ່ານກຳລັງແກ້ໄຂບັນຫາສະເພາະໃດ, ເຊັ່ນ: ການເຂົ້າເຖິງຫ້ອງເຊີບເວີໂດຍບໍ່ໄດ້ຮັບອະນຸຍາດ? ເປັນຫຍັງປ້າຍ ຫຼື ລະຫັດຈຶ່ງບໍ່ພຽງພໍໃນກໍລະນີນີ້? ຂໍ້ມູນທີ່ທ່ານເກັບກຳມານັ້ນມີຈຳນວນໜ້ອຍທີ່ສຸດຕາມຄວາມຕ້ອງການບໍ?
• ຄວາມສ່ຽງສຳລັບຜູ້ທີ່ກ່ຽວຂ້ອງ. ຈະເປັນແນວໃດຖ້າຖານຂໍ້ມູນຂອງແມ່ແບບຖືກລັກ? ຂໍ້ມູນສາມາດນຳໃຊ້ໃນພາຍຫຼັງເພື່ອຈຸດປະສົງອື່ນໄດ້ບໍ່, ເຊັ່ນ: ການຕິດຕາມຊົ່ວໂມງເຮັດວຽກ (ການເລື່ອນໜ້າທີ່)? ຈະເກີດຫຍັງຂຶ້ນກັບພະນັກງານທີ່ບໍ່ສາມາດອ່ານລາຍນິ້ວມືໄດ້? ຈະເປັນແນວໃດຖ້າລະບົບລັອກບຸກຄົນທີ່ໄດ້ຮັບອະນຸຍາດໃນເວລາສຸກເສີນ?
• ມາດຕະການຕ່າງໆເພື່ອແກ້ໄຂຄວາມສ່ຽງຕ່າງໆ. ມາດຕະການທາງເທັກນິກເຊັ່ນ: ການເຂົ້າລະຫັດ ແລະ ການເກັບຮັກສາຂໍ້ມູນໃນບັດ ຫຼື ອຸປະກອນ; ມາດຕະການຂອງອົງກອນເຊັ່ນ: ນະໂຍບາຍ, ການຝຶກອົບຮົມ ແລະ ແຜນການຕອບໂຕ້ການລະເມີດ; ແລະ ທາງເລືອກທີ່ບໍ່ແມ່ນຊີວະມິຕິ ເພື່ອບໍ່ໃຫ້ຜູ້ໃດຖືກຍົກເວັ້ນ.

ໃຫ້ທົບທວນຄືນ DPIA ເມື່ອຂອບເຂດ, ລັກສະນະ ຫຼື ສະພາບການຂອງການປະມວນຜົນມີການປ່ຽນແປງ (ມາດຕາ 35(11) GDPR). ການວິເຄາະທີ່ຂຽນຂຶ້ນຫຼັງຈາກມີການຮ້ອງຮຽນເທົ່ານັ້ນຈະມີນ້ຳໜັກໜ້ອຍຕໍ່ AP.

ມາດຕະການປ້ອງກັນໃດທີ່ຄາດວ່າຈະມີ?

ເກັບກຳໃຫ້ໜ້ອຍທີ່ສຸດເທົ່າທີ່ຈະເປັນໄປໄດ້, ເກັບຮັກສາໄວ້ບໍ່ເກີນຄວາມຈຳເປັນ ແລະ ປົກປ້ອງມັນດ້ວຍມາດຕະການດ້ານວິຊາການ ແລະ ການຈັດຕັ້ງທີ່ເຂັ້ມແຂງ. ຫຼັກການເຫຼົ່ານີ້ປະຕິບັດຕາມມາດຕາ 5 ແລະ 32 GDPR.

ເລີ່ມຕົ້ນດ້ວຍການຫຼຸດຜ່ອນຂໍ້ມູນ: ເກັບກຳຂໍ້ມູນທາງຊີວະມິຕິທີ່ຈຳເປັນສຳລັບຈຸດປະສົງສະເພາະ ແລະ ຖືກຕ້ອງຕາມກົດໝາຍເທົ່ານັ້ນ. ສຳລັບການຄວບຄຸມການເຂົ້າເຖິງ, ແມ່ແບບມັກຈະພຽງພໍ; ບໍ່ຈຳເປັນຕ້ອງມີການສະແກນໃບໜ້າທີ່ມີຄວາມລະອຽດສູງ. ລວມສິ່ງນີ້ກັບຂໍ້ຈຳກັດການເກັບຮັກສາ: ກຳນົດໄລຍະເວລາເກັບຮັກສາ ແລະ ລຶບຂໍ້ມູນຢ່າງປອດໄພທັນທີທີ່ມັນບໍ່ຕ້ອງການອີກຕໍ່ໄປ, ຕົວຢ່າງເຊັ່ນ ເມື່ອພະນັກງານອອກຈາກວຽກ ຫຼື ບໍ່ຕ້ອງການເຂົ້າເຖິງອີກຕໍ່ໄປ.

ມາດຕະການດ້ານວິຊາການແລະການຈັດຕັ້ງ

ຄວາມປອດໄພຕ້ອງກົງກັບຄວາມສ່ຽງສູງ. ມາດຕະການດ້ານວິຊາການທີ່ສຳຄັນລວມມີ:

• ການເຂົ້າລະຫັດ ຂອງຂໍ້ມູນທາງຊີວະມິຕິ, ທັງໃນເວລາພັກຜ່ອນ ແລະ ໃນລະຫວ່າງການຂົນສົ່ງ.
• ການຄວບຄຸມການເຂົ້າເຖິງຢ່າງເຂັ້ມງວດ, ດັ່ງນັ້ນພຽງແຕ່ພະນັກງານທີ່ໄດ້ຮັບອະນຸຍາດທີ່ມີຄວາມຕ້ອງການທີ່ຊັດເຈນເທົ່ານັ້ນທີ່ສາມາດເຂົ້າເຖິງຂໍ້ມູນໄດ້.
• ບ່ອນເກັບຂໍ້ມູນແບບກະຈາຍສູນກາງຖ້າເປັນໄປໄດ້, ໃຫ້ເກັບຮັກສາແມ່ແບບໄວ້ໃນອຸປະກອນ ຫຼື ໃນບັດຂອງຜູ້ໃຊ້ເອງ ແທນທີ່ຈະຢູ່ໃນຖານຂໍ້ມູນສູນກາງ. ນັ້ນເຮັດໃຫ້ການລະເມີດຂໍ້ມູນຈຳນວນຫຼາຍມີໂອກາດໜ້ອຍລົງ.

ເຕັກໂນໂລຊີຢ່າງດຽວບໍ່ພຽງພໍ. ມາດຕະການຂອງອົງກອນ, ເຊັ່ນ: ນະໂຍບາຍເປັນລາຍລັກອັກສອນກ່ຽວກັບຂໍ້ມູນຊີວະມິຕິ, ການຝຶກອົບຮົມພະນັກງານ, ການກວດສອບຄວາມປອດໄພເປັນໄລຍະ ແລະ ຂໍ້ຕົກລົງທີ່ຊັດເຈນກັບຜູ້ສະໜອງ, ກໍ່ມີຄວາມສຳຄັນເທົ່າທຽມກັນ. ຖ້າຜູ້ສະໜອງປະມວນຜົນຂໍ້ມູນໃນນາມຂອງທ່ານ, ທ່ານຕ້ອງການຂໍ້ຕົກລົງການປະມວນຜົນພາຍໃຕ້ມາດຕາ 28 GDPR.

ແຈ້ງການຄວາມເປັນສ່ວນຕົວທີ່ຊັດເຈນ

ຜູ້ຄົນມີສິດທີ່ຈະຮູ້ວ່າເຈົ້າເຮັດຫຍັງກັບຂໍ້ມູນຊີວະມິຕິຂອງເຂົາເຈົ້າ (ມາດຕາ 13 ແລະ 14 GDPR). ຂໍ້ມູນຕ້ອງກະທັດຮັດ, ງ່າຍຕໍ່ການຊອກຫາ ແລະ ຂຽນດ້ວຍພາສາທີ່ເຂົ້າໃຈງ່າຍ.

ແຈ້ງການຄວາມເປັນສ່ວນຕົວກ່ຽວກັບການປະມວນຜົນຂໍ້ມູນທາງຊີວະມິຕິຄວນອະທິບາຍວ່າທ່ານແມ່ນໃຜ ແລະ ວິທີການຕິດຕໍ່ທ່ານ, ເຫດຜົນທີ່ທ່ານປະມວນຜົນຂໍ້ມູນ, ພື້ນຖານທາງກົດໝາຍພາຍໃຕ້ມາດຕາ 6 ແລະ ຂໍ້ຍົກເວັ້ນທີ່ອີງໃສ່, ຂໍ້ມູນທີ່ທ່ານເກັບກຳ (ຕົວຢ່າງເຊັ່ນ ແມ່ແບບລາຍນິ້ວມື), ທ່ານເກັບຮັກສາມັນໄວ້ດົນປານໃດ, ທ່ານແບ່ງປັນມັນກັບໃຜ, ລວມທັງຜູ້ສະໜອງ, ແລະ ສິດທີ່ບຸກຄົນມີ, ເຊັ່ນ: ການເຂົ້າເຖິງ, ການແກ້ໄຂ, ການລຶບລ້າງ ແລະ ການຄັດຄ້ານ.

ກົດໝາຍວ່າດ້ວຍ AI ຍັງໃຊ້ໄດ້ບໍ?

ແມ່ນແລ້ວ, ສຳລັບລະບົບຊີວະມິຕິບາງຢ່າງ. ກົດໝາຍວ່າດ້ວຍປັນຍາປະດິດຂອງສະຫະພາບເອີຣົບ (ລະບຽບການ (EU) 2024/1689) ໄດ້ເພີ່ມກົດລະບຽບນອກເໜືອໄປຈາກ GDPR.

ນັບຕັ້ງແຕ່ວັນທີ 2 ກຸມພາ 2025 ເປັນຕົ້ນມາ, ກົດໝາຍວ່າດ້ວຍປັນຍາປະດິດ (AI) ໄດ້ຫ້າມການປະຕິບັດຫຼາຍຢ່າງຢ່າງເດັດຂາດ, ລວມທັງການຂູດຮູບພາບໃບໜ້າຈາກອິນເຕີເນັດ ຫຼື ພາບຈາກກ້ອງວົງຈອນປິດເພື່ອສ້າງຖານຂໍ້ມູນການຮັບຮູ້ໃບໜ້າ, ການຮັບຮູ້ອາລົມໃນບ່ອນເຮັດວຽກ ແລະ ໃນການສຶກສາ (ຍົກເວັ້ນເຫດຜົນທາງການແພດ ຫຼື ຄວາມປອດໄພ) ແລະ ການຈັດປະເພດຊີວະມິຕິເພື່ອອະນຸມານລັກສະນະທີ່ລະອຽດອ່ອນເຊັ່ນ: ເຊື້ອຊາດ ຫຼື ຮູບແບບທາງເພດ. ລະບົບຊີວະມິຕິອື່ນໆ, ເຊັ່ນ: ການລະບຸຕົວຕົນທາງຊີວະມິຕິຈາກໄລຍະໄກ, ຖືກຈັດປະເພດເປັນຄວາມສ່ຽງສູງ ແລະ ຕ້ອງມີຂໍ້ກຳນົດທີ່ເຂັ້ມງວດ. ກວດສອບທັງສອງຂອບວຽກກ່ອນທີ່ຈະນຳສະເໜີລະບົບ.

ຜົນສະທ້ອນຂອງການບໍ່ປະຕິບັດຕາມແມ່ນຫຍັງ?

ຄ່າປັບໃໝສູງ, ຄຳສັ່ງໃຫ້ຢຸດການປະມວນຜົນ ແລະ ການຮຽກຮ້ອງຄ່າເສຍຫາຍ. ສຳລັບການປະມວນຜົນທີ່ຜິດກົດໝາຍຂອງໝວດໝູ່ພິເສດ, GDPR ອະນຸຍາດໃຫ້ມີການປັບໃໝສູງເຖິງ 20 ລ້ານເອີໂຣ ຫຼື 4% ຂອງຍອດຂາຍປະຈຳປີທົ່ວໂລກ, ຂຶ້ນກັບວ່າອັນໃດສູງກວ່າ.

ຈຳນວນເງິນສູງສຸດເຫຼົ່ານີ້ຕາມມາຈາກມາດຕາ 83(5) GDPR ແລະນຳໃຊ້ກັບການປະມວນຜົນໂດຍບໍ່ມີພື້ນຖານ ຫຼື ຂໍ້ຍົກເວັ້ນທີ່ຖືກຕ້ອງ. ການລະເມີດພັນທະກ່ຽວກັບຄວາມປອດໄພ ແລະ ການແຈ້ງເຕືອນການລະເມີດ (ມາດຕາ 32 ຫາ 34 GDPR) ສາມາດນຳໄປສູ່ການປັບໃໝສູງເຖິງ 10 ລ້ານເອີໂຣ ຫຼື 2% ຂອງຍອດຂາຍທົ່ວໂລກ. ຄ່າປັບໃໝຕ້ອງມີປະສິດທິພາບ, ສົມສ່ວນ ແລະ ບໍ່ກໍ່ໃຫ້ເກີດການໂຕ້ຖຽງ. AP ກຳນົດຈຳນວນເງິນພາຍໃຕ້ນະໂຍບາຍການປັບໃໝຂອງຕົນເອງ.

AP ໄດ້ບັງຄັບໃຊ້ຫຍັງແດ່?

ສຳນັກຂ່າວ AP ໄດ້ປັບໃໝທັງນາຍຈ້າງ ແລະ ບໍລິສັດເທັກໂນໂລຢີ ສຳລັບການປະມວນຜົນຂໍ້ມູນທາງຊີວະມິຕິທີ່ຜິດກົດໝາຍ. ມີສອງການຕັດສິນໃຈທີ່ໂດດເດັ່ນ.

ໃນປີ 2020, AP ໄດ້ປັບໃໝບໍລິສັດທີ່ສະແກນລາຍນິ້ວມືຂອງພະນັກງານສຳລັບການເຂົ້າຮ່ວມ ແລະ ການລົງທະບຽນເວລາເຮັດວຽກເປັນຈຳນວນເງິນ 725,000 ເອີໂຣ. AP ພົບວ່າບໍ່ມີຂໍ້ຍົກເວັ້ນໃດໆຖືກນຳໃຊ້: ການຍິນຍອມຂອງພະນັກງານບໍ່ໄດ້ຮັບການໃຫ້ໂດຍບໍ່ເສຍຄ່າ, ແລະ ຄວາມສະດວກສະບາຍໃນການລົງທະບຽນຊົ່ວໂມງເຮັດວຽກບໍ່ແມ່ນຈຸດປະສົງດ້ານຄວາມປອດໄພທີ່ເຮັດໃຫ້ການປະມວນຜົນທາງຊີວະມິຕິມີຄວາມຈຳເປັນ. ໃນເດືອນກັນຍາ 2024, AP ໄດ້ປັບໃໝບໍລິສັດອາເມລິກາ Clearview AI ເປັນຈຳນວນເງິນ 30.5 ລ້ານເອີໂຣ ສຳລັບການສ້າງຕັ້ງຖານຂໍ້ມູນຮູບພາບໃບໜ້າ, ລວມທັງຮູບພາບຂອງຄົນໂຮນລັງ, ໂດຍບໍ່ມີພື້ນຖານທາງກົດໝາຍ.

ມີສີ່ຄຳຖາມທີ່ດຳເນີນຜ່ານການບັງຄັບໃຊ້ຂອງ AP. ຈຸດປະສົງແມ່ນຫຍັງ, ເຊິ່ງລະບຸໄວ້ໂດຍສະເພາະແທນທີ່ຈະເປັນ "ຄວາມປອດໄພ" ໂດຍທົ່ວໄປ? ມັນສາມາດບັນລຸໄດ້ໂດຍວິທີການທີ່ແຊກແຊງໜ້ອຍກວ່າບໍ? ຖ້າອີງໃສ່ການຍິນຍອມ, ຜູ້ຄົນສາມາດປະຕິເສດໂດຍບໍ່ມີຜົນສະທ້ອນບໍ? ແລະສິ່ງນີ້ໄດ້ຖືກປະເມີນ ແລະ ບັນທຶກໄວ້ກ່ອນທີ່ລະບົບຈະຖືກນຳສະເໜີບໍ? ບົດຄວາມຂອງພວກເຮົາກ່ຽວກັບ ອົງການປົກປ້ອງຂໍ້ມູນຂອງໂຮນລັງ ອະທິບາຍອຳນາດຂອງ AP ຢ່າງລະອຽດ.

ຜົນສະທ້ອນອື່ນໆ

ການປັບໃໝບໍ່ແມ່ນຄວາມສ່ຽງພຽງຢ່າງດຽວ. AP ສາມາດສັ່ງໃຫ້ທ່ານຢຸດການປະມວນຜົນ, ເຊິ່ງສາມາດເຮັດໃຫ້ລະບົບທີ່ທ່ານຂຶ້ນກັບຢຸດ, ແລະມັນສາມາດສັ່ງໃຫ້ທ່ານລຶບຂໍ້ມູນທີ່ເກັບກຳມາຢ່າງຜິດກົດໝາຍ. ຜູ້ທີ່ຂໍ້ມູນຂອງເຂົາເຈົ້າຖືກປະມວນຜົນຢ່າງຜິດກົດໝາຍສາມາດຮຽກຮ້ອງຄ່າຊົດເຊີຍສຳລັບຄວາມເສຍຫາຍທາງດ້ານວັດຖຸ ແລະ ບໍ່ແມ່ນວັດຖຸພາຍໃຕ້ມາດຕາ 82 GDPR, ແລະໃນປະເທດເນເທີແລນ, ການຮຽກຮ້ອງດັ່ງກ່າວຍັງສາມາດນຳມາລວມກັນໄດ້. ຄວາມເສຍຫາຍຕໍ່ຊື່ສຽງຂອງການຕັດສິນໃຈບັງຄັບໃຊ້ກົດໝາຍສາທາລະນະສາມາດມີຢ່າງຫຼວງຫຼາຍ.

ເຈົ້າຈະເຮັດແນວໃດຖ້າຂໍ້ມູນທາງຊີວະມິຕິຖືກຮົ່ວໄຫຼ?

ຄວບຄຸມການລະເມີດ, ປະເມີນຄວາມສ່ຽງ, ແຈ້ງໃຫ້ AP ຊາບພາຍໃນ 72 ຊົ່ວໂມງ ແລະ ຖ້າຄວາມສ່ຽງສູງ, ໃຫ້ແຈ້ງໃຫ້ຜູ້ທີ່ໄດ້ຮັບຜົນກະທົບຊາບໂດຍບໍ່ມີການຊັກຊ້າ. ກະກຽມສິ່ງນີ້ໃນແຜນການຕອບໂຕ້ກ່ອນທີ່ຈະມີສິ່ງໃດຜິດພາດເກີດຂຶ້ນ.

ພາຍໃຕ້ມາດຕາ 33 GDPR, ທ່ານຕ້ອງລາຍງານການລະເມີດຂໍ້ມູນສ່ວນຕົວຕໍ່ AP ໂດຍບໍ່ມີການຊັກຊ້າທີ່ບໍ່ເໝາະສົມ ແລະ ຖ້າເປັນໄປໄດ້, ພາຍໃນ 72 ຊົ່ວໂມງຫຼັງຈາກຮູ້ເຖິງການລະເມີດ, ເວັ້ນເສຍແຕ່ວ່າການລະເມີດດັ່ງກ່າວບໍ່น่าຈະເຮັດໃຫ້ເກີດຄວາມສ່ຽງຕໍ່ຜູ້ທີ່ກ່ຽວຂ້ອງ. ແຈ້ງການອະທິບາຍເຖິງລັກສະນະຂອງການລະເມີດ, ໝວດໝູ່ ແລະ ຈຳນວນປະມານຂອງຄົນ ແລະ ບັນທຶກທີ່ໄດ້ຮັບຜົນກະທົບ, ຜົນສະທ້ອນທີ່ອາດຈະເກີດຂຶ້ນ ແລະ ມາດຕະການທີ່ໄດ້ປະຕິບັດ ຫຼື ສະເໜີ. ຖ້າທ່ານບໍ່ສາມາດໃຫ້ຂໍ້ມູນທັງໝົດໃນເທື່ອດຽວ, ທ່ານສາມາດເພີ່ມເຕີມໄດ້ໃນພາຍຫຼັງ.

ຂັ້ນຕອນທີ 1: ຄວບຄຸມການລະເມີດ ແລະ ປະເມີນຜົນກະທົບ

ບຸລິມະສິດອັນດັບໜຶ່ງຂອງທ່ານແມ່ນການຢຸດການລະເມີດ. ແຍກລະບົບທີ່ໄດ້ຮັບຜົນກະທົບ, ຮັກສາບັນທຶກ ແລະ ຫຼັກຖານອື່ນໆໄວ້ສຳລັບການສືບສວນ, ແລະ ກຳນົດຢ່າງແນ່ນອນວ່າຂໍ້ມູນໃດທີ່ໄດ້ຮັບຜົນກະທົບ: ຮູບພາບດິບ ຫຼື ແມ່ແບບທີ່ຖືກເຂົ້າລະຫັດ, ແລະ ຂອງໃຜ.

ຂັ້ນຕອນທີ 2: ຕັດສິນໃຈວ່າຈະແຈ້ງໃຫ້ຜູ້ທີ່ໄດ້ຮັບຜົນກະທົບຊາບຫຼືບໍ່

ພາຍໃຕ້ມາດຕາ 34 GDPR, ທ່ານຕ້ອງແຈ້ງໃຫ້ຜູ້ທີ່ໄດ້ຮັບຜົນກະທົບຊາບໂດຍບໍ່ມີການຊັກຊ້າຖ້າການລະເມີດດັ່ງກ່າວອາດຈະເຮັດໃຫ້ເກີດຄວາມສ່ຽງສູງຕໍ່ສິດ ແລະ ເສລີພາບຂອງເຂົາເຈົ້າ. ດ້ວຍຂໍ້ມູນທາງຊີວະມິຕິ, ເກນດັ່ງກ່າວມັກຈະບັນລຸໄດ້, ເພາະວ່າຂໍ້ມູນບໍ່ສາມາດປ່ຽນແປງໄດ້. ຕົວຢ່າງ, ຂໍ້ຍົກເວັ້ນແມ່ນຂໍ້ມູນທີ່ຖືກເຂົ້າລະຫັດຢ່າງແຂງແຮງ ແລະ ລະຫັດຂອງມັນບໍ່ຖືກໂຈມຕີ. ຂໍ້ຄວາມຕ້ອງເປັນພາສາທີ່ເຂົ້າໃຈງ່າຍ: ມີຫຍັງເກີດຂຶ້ນ, ຂໍ້ມູນໃດທີ່ກ່ຽວຂ້ອງ ແລະ ສິ່ງທີ່ຜູ້ຄົນສາມາດເຮັດໄດ້ເພື່ອປົກປ້ອງຕົນເອງ.

ຂັ້ນຕອນທີ 3: ປະຕິບັດ ແລະ ບັນທຶກຄຳຕອບ

ບັນທຶກທຸກໆບາດກ້າວ: ຊ່ວງເວລາຂອງການຄົ້ນພົບ, ການຕັດສິນໃຈທີ່ໄດ້ປະຕິບັດ, ການສື່ສານ ແລະ ມາດຕະການດ້ານວິຊາການ. ພາຍໃຕ້ມາດຕາ 33(5) GDPR ທ່ານຕ້ອງບັນທຶກທຸກໆການລະເມີດ, ລວມທັງການລະເມີດທີ່ທ່ານບໍ່ຈຳເປັນຕ້ອງລາຍງານ. ເອກະສານທີ່ດີສະແດງໃຫ້ເຫັນວ່າ AP ຂອງທ່ານໄດ້ປະຕິບັດຢ່າງລະມັດລະວັງ ແລະ ສາມາດສົ່ງຜົນກະທົບຕໍ່ວິທີທີ່ມັນປະເມີນກໍລະນີ.

ທ່ານຄວນກວດສອບຫຍັງແດ່ໃນຖານະນາຍຈ້າງ ຫຼື ບໍລິສັດ?

ກວດສອບຄວາມຈຳເປັນກ່ອນ ແລະ ບັນທຶກທຸກໆຂັ້ນຕອນກ່ອນທີ່ລະບົບຈະເລີ່ມໃຊ້ງານ. ການກວດສອບຫ້າຢ່າງນີ້ກວມເອົາຈຸດຕ່າງໆທີ່ AP ພິຈາລະນາ.

• ຂຽນຈຸດປະສົງຄວາມປອດໄພສະເພາະ ແລະ ເຫດຜົນທີ່ປ້າຍ, ລະຫັດ PIN ຫຼື ກະແຈບໍ່ພຽງພໍ (ມາດຕາ 29 UAVG).
• ບັນທຶກພື້ນຖານທາງກົດໝາຍຂອງທ່ານພາຍໃຕ້ມາດຕາ 6 GDPR ແລະຂໍ້ຍົກເວັ້ນພາຍໃຕ້ມາດຕາ 9(2) GDPR ຫຼືມາດຕາ 29 UAVG.
• ເຮັດ DPIA ໃຫ້ສຳເລັດກ່ອນການສະແກນຄັ້ງທຳອິດ ແລະ ປຶກສາ AP ຖ້າຍັງມີຄວາມສ່ຽງສູງຢູ່ (ມາດຕາ 35 ແລະ 36 GDPR).
• ຂໍໃຫ້ສະພາວຽກງານອະນຸມັດພາຍໃຕ້ມາດຕາ 27(1)(k) ແລະ (l) WOR ກ່ອນທີ່ທ່ານຈະນໍາໃຊ້ລະບົບ.
• ເຊັນສັນຍາການປະມວນຜົນກັບຜູ້ສະໜອງ (ມາດຕາ 28 GDPR) ແລະ ກຳນົດໄລຍະເວລາເກັບຮັກສາແມ່ແບບ.

ທ່ານຄວນກວດສອບຫຍັງແດ່ໃນຖານະພະນັກງານ ຫຼື ລູກຄ້າ?

ທ່ານມີສິດທີ່ຈະຮູ້ວ່າຂໍ້ມູນທາງຊີວະມິຕິຂອງທ່ານຖືກນໍາໃຊ້ແນວໃດ ແລະ ຄັດຄ້ານການປະມວນຜົນທີ່ຜິດກົດໝາຍ. ໃຫ້ກວດສອບຈຸດເຫຼົ່ານີ້ຖ້າທ່ານຖືກຮ້ອງຂໍໃຫ້ສະແກນລາຍນິ້ວມື ຫຼື ໃບໜ້າຂອງທ່ານ.

• ມີທາງເລືອກທີ່ບໍ່ແມ່ນຊີວະມິຕິບໍ, ເຊັ່ນ: ປ້າຍ ຫຼື ລະຫັດ PIN, ແລະ ທ່ານສາມາດໃຊ້ມັນໄດ້ໂດຍບໍ່ມີຂໍ້ເສຍປຽບ?
• ແຈ້ງການຄວາມເປັນສ່ວນຕົວໄດ້ລະບຸຈຸດປະສົງ, ພື້ນຖານທາງກົດໝາຍ ແລະ ໄລຍະເວລາເກັບຮັກສາຂໍ້ມູນ (ມາດຕາ 13 ແລະ 14 GDPR) ບໍ?
• ສະພາວຽກງານໄດ້ຍິນຍອມຕໍ່ລະບົບດັ່ງກ່າວບໍ່, ບ່ອນທີ່ນາຍຈ້າງຂອງທ່ານມີລະບົບນີ້ (ມາດຕາ 27 WOR)?
• ຂໍສິດເຂົ້າເຖິງ ຫຼື ລຶບຂໍ້ມູນຂອງທ່ານ; ອົງກອນຕ້ອງຕອບພາຍໃນໜຶ່ງເດືອນ (ມາດຕາ 12, 15 ແລະ 17 GDPR).
• ຖ້າສິດທິຂອງທ່ານບໍ່ໄດ້ຮັບການເຄົາລົບ, ໃຫ້ຍື່ນຄຳຮ້ອງທຸກຕໍ່ AP (ມາດຕາ 77 GDPR) ຫຼື ຮຽກຮ້ອງຄ່າເສຍຫາຍພາຍໃຕ້ມາດຕາ 82 GDPR.

ພວກເຮົາສາມາດເຮັດຫຍັງໃຫ້ທ່ານໄດ້ແດ່ກັບຂໍ້ມູນທາງຊີວະມິຕິ?

ທະນາຍຄວາມດ້ານໄອທີ ຂອງພວກເຮົາ ຊ່ວຍນາຍຈ້າງ, ບໍລິສັດເຕັກໂນໂລຢີ ແລະ ບຸກຄົນທີ່ມີລະບົບຊີວະມິຕິ, ຕັ້ງແຕ່ແຜນການທຳອິດຈົນເຖິງການດຳເນີນຄະດີກ່ອນການພິຈາລະນາຄະດີ AP.

• ພວກເຮົາປະເມີນວ່າລະບົບຊີວະມິຕິຂອງທ່ານຕອບສະໜອງການທົດສອບຄວາມຈຳເປັນຂອງມາດຕາ 29 UAVG ຫຼືບໍ່.
• ພວກເຮົາຮ່າງ ຫຼື ທົບທວນ DPIA ແລະ ແຈ້ງການຄວາມເປັນສ່ວນຕົວ.
• ພວກເຮົາກະກຽມຄຳຮ້ອງຂໍການຍິນຍອມເຫັນດີຕໍ່ສະພາວຽກງານພາຍໃຕ້ມາດຕາ 27 WOR.
• ພວກເຮົາທົບທວນຄືນຂໍ້ຕົກລົງການດຳເນີນການກັບຜູ້ສະໜອງຂອງທ່ານພາຍໃຕ້ມາດຕາ 28 GDPR.
• ພວກເຮົາຊ່ວຍທ່ານແຈ້ງໃຫ້ AP ຊາບກ່ຽວກັບການລະເມີດຂໍ້ມູນພາຍໃນເວລາກຳນົດ 72 ຊົ່ວໂມງ ແລະ ຕອບສະໜອງຕໍ່ການບັງຄັບໃຊ້ຂອງ AP.

Summary

• ຂໍ້ມູນຊີວະມິຕິທີ່ໃຊ້ສຳລັບການລະບຸຕົວຕົນທີ່ເປັນເອກະລັກແມ່ນໝວດໝູ່ພິເສດພາຍໃຕ້ມາດຕາ 9 GDPR; ການປະມວນຜົນແມ່ນຖືກຫ້າມ ເວັ້ນເສຍແຕ່ວ່າມີຂໍ້ຍົກເວັ້ນ.
• ໃນປະເທດເນເທີແລນ, ມາດຕາ 29 UAVG ອະນຸຍາດໃຫ້ເຮັດໄດ້ພຽງແຕ່ບ່ອນທີ່ຈຳເປັນສຳລັບການກວດສອບຄວາມຖືກຕ້ອງ ຫຼື ຄວາມປອດໄພເທົ່ານັ້ນ; ຄວາມສະດວກສະບາຍບໍ່ພຽງພໍ.
• ການຍິນຍອມຂອງພະນັກງານແມ່ນບໍ່ຄ່ອຍຖືກຕ້ອງ; ສະເໜີທາງເລືອກທີ່ບໍ່ແມ່ນຊີວະມິຕິທີ່ແທ້ຈິງ ແລະ ຂໍການຍິນຍອມຈາກສະພາວຽກງານຕາມຄວາມຕ້ອງການ.
• ປະຕິບັດ DPIA ລ່ວງໜ້າ, ຫຼຸດຜ່ອນຂໍ້ມູນ, ເກັບຮັກສາແມ່ແບບໄວ້ໃນເຄື່ອງ ແລະ ເຂົ້າລະຫັດພວກມັນ.
• ລາຍງານການລະເມີດຕໍ່ AP ພາຍໃນ 72 ຊົ່ວໂມງ; ຄ່າປັບໃໝອາດສູງເຖິງ 20 ລ້ານເອີໂຣ ຫຼື 4% ຂອງຍອດຂາຍທົ່ວໂລກ.

ຄໍາ​ຖາມ​ທີ່​ຖືກ​ຖາມ​ເລື້ອຍໆ